Singapore skærper AI-privatlivet: Hvornår skal virksomheder fortælle dig, at dine data bruges til træning?

Sådan kan reglerne gælde i fire typiske situationer

Banker: Finansielle data og kundeservice til AI-assistenter

Hvis en bank bruger kundedata til at udvikle eller forbedre en AI-assistent og baserer sig på samtykke, skal den give en AI-specifik meddelelse. Meddelelsen bør skelne mellem modeludvikling og bankens almindelige levering af bank- eller kundeservicetjenester.

Banken kan i nogle tilfælde benytte en samtykkeundtagelse i PDPA, eksempelvis undtagelsen for forretningsforbedringer. Det kræver dog, at alle lovens betingelser er opfyldt, og at brugen holder sig inden for undtagelsens rækkevidde. Hvis en gyldig undtagelse gælder, er samtykke – og dermed et samtykkebaseret fravalg – muligvis ikke nødvendigt.

Forsikringsselskaber: Helbreds- og skadeoplysninger

Forsikringsselskabet står over for det samme grundlæggende spørgsmål: Hvis samtykke er nødvendigt for at bruge helbreds- eller skadeoplysninger til at udvikle en generativ AI-model, skal meddelelsen specifikt beskrive denne AI-anvendelse. En bred tidligere formulering om serviceforbedringer bør ikke automatisk anses for tilstrækkelig til modeltræning.

Selskabet skal enten kunne dokumentere, at en relevant undtagelse i PDPA gælder, eller indhente gyldigt samtykke gennem en AI-specifik meddelelse. Kilderne fastslår ikke, at alle helbreds- eller skadeoplysninger automatisk er undtaget.

E-handelsplatforme: Købs- og browserdata til kommercielle AI-produkter

Hvis en platform bruger købshistorik eller browseraktivitet til at udvikle et separat kommercielt generativt AI-produkt, er der tale om et tydeligt eksempel på, at data genanvendes til noget, der rækker ud over den oprindelige shoppingoplevelse. Når samtykke er nødvendigt, bør platformen forklare AI-formålet direkte i stedet for at gemme det i en generel klausul om produktudvikling.

Undtagelsen for forretningsforbedringer kan være relevant i visse situationer, men den er ikke en generel tilladelse til enhver ny kommerciel anvendelse. Organisationen skal fortsat opfylde de juridiske krav og holde sig inden for undtagelsens rammer.

Sociale platforme: Profiler, billeder og opslag til kreative AI-værktøjer

En social platform, der bruger profiler, fotos, videoer, opslag eller brugerinteraktioner til at forbedre generative AI-værktøjer til indholdsskabelse, skal give en AI-specifik meddelelse, hvis samtykke er det juridiske grundlag.

Persondata, der reelt er offentligt tilgængelige, kan være omfattet af PDPA's undtagelse for offentligt tilgængelige data. I så fald er samtykke muligvis ikke nødvendigt. Det afgørende er dog, om materialet faktisk er offentligt: Et opslag, der kun kan ses af udvalgte brugere eller er beskyttet af adgangskontrol, er ikke det samme som offentligt tilgængeligt indhold.

Hvornår er en meddelelse eller et fravalg muligvis ikke nødvendigt?

Dataene er reelt anonymiserede

Hvis dataene er reelt anonymiserede, så personer ikke længere kan identificeres, er de ikke længere persondata. Så gælder PDPA's krav om meddelelse og samtykke til persondata ikke. Pseudonymiserede eller maskerede data bør ikke automatisk behandles som anonyme – det afgørende spørgsmål er, om enkeltpersoner stadig kan identificeres.

En gyldig undtagelse i PDPA gælder

En organisation behøver muligvis ikke samtykke, hvis den korrekt kan benytte en lovbestemt undtagelse, herunder undtagelsen for offentligt tilgængelige data eller, når betingelserne er opfyldt, undtagelsen for forretningsforbedringer. Da kravet om en AI-specifik meddelelse knytter sig til situationer, hvor samtykke er nødvendigt, skaber det ikke en generel ret til at fravælge enhver lovlig brug af data til AI-træning.

Den relevante samtykkeordning indebærer ikke nødvendigvis et fravalg

PDPC beskriver en fravalgsordning som en ordning, hvor personen får en meddelelse, en rimelig frist og en rimelig måde at sige nej på, når denne ordning anvendes. Det betyder ikke, at alle former for AI-relateret databehandling skal have en fravalgsfunktion – især ikke hvis organisationen baserer sig på en samtykkeundtagelse frem for samtykke.

Forbrugere kan dog fortsat have ret til at trække et samtykke tilbage, hvis samtykket er givet eller anses for givet efter PDPA, afhængigt af den ordning, der gælder for behandlingen.

Må en virksomhed gøre samtykke til AI-træning til en betingelse for service?

Som hovedregel bør en organisation ikke nægte et produkt eller en tjeneste, blot fordi en forbruger siger nej til AI-træning, hvis træningen ikke med rimelighed er nødvendig for at levere det ønskede produkt eller den ønskede tjeneste. Samtykke til at udvikle en generel AI-assistent eller en separat kommerciel model bør derfor normalt ikke kobles sammen med adgangen til en almindelig bankkonto, shoppingtjeneste eller social platform.

Den centrale begrænsning er nødvendighed. Samtykke kan gøres til en betingelse, når indsamlingen, brugen eller videregivelsen af data med rimelighed er nødvendig for den service eller transaktion, som forbrugeren har anmodet om. Om det krav er opfyldt, afhænger af den konkrete tjeneste, dataanvendelse og situation. Retningslinjerne giver ikke ét svar, der gælder for alle organisationer eller AI-systemer.

Det bør forbrugere og virksomheder kigge efter

Forbrugere bør især se efter fire oplysninger i en AI-meddelelse:

• at persondata bruges til at udvikle, træne eller forbedre en generativ AI-model;
• hvilke kategorier af data der er tale om;
• formålet med og metoden for brugen; og
• om samtykke kan afvises eller trækkes tilbage – og hvordan det i så fald gøres.

Organisationer bør først afklare, om oplysningerne fortsat er persondata, om en undtagelse gælder, og om AI-anvendelsen er rimeligt nødvendig for den ønskede service. Først derefter kan de afgøre, om der kræves en AI-specifik samtykkemeddelelse og en fravalgsordning.

Det er den vigtigste begrænsning i Singapores ramme fra juli 2026: større gennemsigtighed ved samtykkebaseret AI-træning, men ingen automatisk ret til at sige nej til enhver lovlig brug af data.